Nordkoreanische Angreifer missbrauchen diesen Angriffsweg laut Trend Micro mindestens seit 2023 und haben ihre Taktik seither weiterentwickelt. Sie nutzen das Vertrauen aus, das Entwickler in die verbreitete Praxis setzen, Bewerber im Rahmen eines Vorstellungsgesprächs einen technischen Test absolvieren zu lassen, erklärt Joshua Allman, Tactical Response Analyst bei der Sicherheitsfirma Huntress, gegenüber Dark Reading. Weil gezielt Menschen auf Jobsuche angesprochen würden, hätten die Angreifer ein engagierteres Ziel und könnten sehr präzise auswählen, wen sie attackieren. Gelinge die Kompromittierung eines beliebten Pakets oder Projekts, könne dies tausende nachgelagerte Opfer treffen.
Allein im März identifizierte Trend Micro mehr als 750 infizierte Code-Repositories, mehr als 500 bösartige VS-Code-Task-Konfigurationen sowie 101 Instanzen des von Void Dokkaebi eingesetzten Werkzeugs zur Manipulation von Commits. Infektionsmarker fanden sich auch in Repositories von Organisationen wie dem Datenmanagement-Anbieter DataStax und dem Java-Anwendungsanbieter Neutralinojs.
Die Infektionskette beginnt mit einem fingierten Vorstellungsgespräch, in dem das Opfer aufgefordert wird, ein scheinbar legitimes Repository von GitHub, GitLab oder Bitbucket zu klonen und als Teil einer technischen Bewertung zu prüfen oder auszuführen. Das Auslieferungsverfahren missbraucht das Workspace-Task-System von VS Code: Öffnet das Opfer das Projekt und bestätigt die Vertrauensabfrage des Workspace, wird der Task ohne weitere Interaktion ausgeführt. Microsoft reagierte zunächst nicht auf eine Anfrage von Dark Reading zu diesem Missbrauch von VS Code.
„In manchen Fällen lädt der Task die Backdoor direkt von einer entfernten URL", schreibt Silva. „In anderen startet er eine im Repository gebündelte Schrift- oder Bilddatei, die die schädliche Nutzlast enthält — eine andere Ausführungsvariante mit demselben Ergebnis."
Das eigentliche wurmartige Verhalten setzt laut Silva erst ein, wenn das Opfer den Code zu GitHub committet. Dann wird der Ordner .vscode standardmäßig ausgeblendet, wodurch der schädliche Code zu einem „wirksamen trojanischen Pferd" wird: Jeder Entwickler, der das Repository später klont und in VS Code öffnet, erhält erneut eine Vertrauensabfrage, deren Bestätigung den Zyklus wiederholt und so eine „sich selbst verbreitende Infektionskette" erzeugt. „Jeder kompromittierte Entwickler versieht neue Repositories mit dem Infektionsvektor, und jedes neue Opfer wird zum potenziellen Verteiler", so Silva.
Zur Auslieferung der Nutzlast setzt die Kampagne zudem Blockchain-Infrastruktur ein — darunter Tron, Aptos und Binance Smart Chain —, was Teile der Verteilungsinfrastruktur klassischen Abschaltmaßnahmen entzieht.
Als Schutzmaßnahmen empfiehlt Allman, in allen Entwicklungsprojekten eine Lock-Datei für das Abhängigkeitsmanagement zu verwenden, die Integrität von Updates zu prüfen und stets einen aktiven Endpunktschutz vorzuhalten, „für den Fall, dass etwas durchrutscht". Jobsuchende sollten zweimal überlegen, bevor sie etwas installieren, das ein möglicher Arbeitgeber ihnen vorlegt, und routinemäßige Programmieraufgaben in einer separaten virtuellen Maschine oder einem Container ohne Zugriff auf eigene Zugangsdaten und Geheimnisse ausführen. Trend Micro rät Entwicklern, jedes externe Repository — auch im Rahmen eines Bewerbungsprozesses — als nicht vertrauenswürdig zu behandeln, unautorisierte Änderungen und auffällige Commits zu erkennen, Berechtigungen einzuschränken und Code-Signatur-Prüfungen durchzusetzen.